Was ist Phishing?

Phishing: Definition und Varianten

Der Begriff ist an „Password“ und „fishing“ angelehnt: Angreifer werfen den Köder aus und warten, wer anbeißt. Typisch ist eine E-Mail, die angeblich von Bank, Paketdienst, Microsoft oder der Geschäftsführung stammt und zu schnellem Handeln drängt: Passwort bestätigen, Rechnung öffnen, Zahlung freigeben.

Neben breit gestreuten Massenmails gibt es gezielte Formen. Beim Spear-Phishing ist die Nachricht auf eine Person oder Firma zugeschnitten. Beim CEO-Fraud, einer Form des Business Email Compromise, gibt sich der Täter als Chef oder Lieferant aus und fordert eine Überweisung. Hinzu kommen Smishing per SMS, Vishing am Telefon und Quishing mit gefälschten QR-Codes.

So läuft ein Phishing-Angriff ab

Die Täter recherchieren Namen, Funktionen und Geschäftspartner, oft aus Website, Impressum oder sozialen Netzwerken. Dann versenden sie eine glaubwürdige Nachricht mit Link auf eine nachgebaute Anmeldeseite oder mit präpariertem Anhang. Wer Daten eingibt oder den Anhang öffnet, liefert Zugangsdaten oder installiert Schadsoftware. Mit gestohlenen Konten gehen die Täter weiter vor, etwa mit Weiterleitungsregeln im Postfach, über die sie Geschäftskorrespondenz mitlesen und gezielt eingreifen können.

• Dringlichkeit, Drohung oder ungewöhnliche Bitte („heute noch zahlen“)
• Absenderadresse weicht leicht vom Original ab oder nutzt eine fremde Domain
• Link-Ziel passt nicht zum angezeigten Text (Mauszeiger darüberhalten)
• Unerwartete Anhänge, vor allem Office-Dokumente mit Makros, Archive oder HTML-Dateien
• Geänderte Bankverbindung ohne Rückbestätigung über einen zweiten Kanal

Praxis­bei­spiel: Die geänderte Bank­ver­bin­dung

Ein Bauunternehmen erhält eine Mail seines Stammlieferanten: Die Bankverbindung habe sich geändert, künftige Rechnungen seien auf das neue Konto zu überweisen. Absender, Logo und Tonfall stimmen, denn das Postfach des Lieferanten wurde zuvor tatsächlich gekapert. Ohne Prüfung ginge die nächste fünfstellige Zahlung an die Täter.

Im Unternehmen gilt eine einfache Regel: Bankdaten werden nur nach Rückruf unter der bekannten Telefonnummer geändert, nie über die Nummer aus der Mail. Zusätzlich gilt das Vier-Augen-Prinzip für neue Zahlungsempfänger. Die Buchhaltung ruft zurück, der Betrug fliegt auf, und der Lieferant kann sein Postfach sichern.

Schutz im Unternehmen und Umsetzung

Technik und Verhalten gehören zusammen. Auf der technischen Seite helfen E-Mail-Filter, die Absender-Authentifizierung mit SPF, DKIM und DMARC, Zwei-Faktor-Anmeldung und verwaltete Geräte. Menschen brauchen kurze, regelmäßige Schulungen und einen einfachen Meldeweg für verdächtige Nachrichten – ohne Angst vor Vorwürfen. Wer hereingefallen ist, ändert sofort das Passwort, beendet Sitzungen und informiert die IT; bei personenbezogenen Daten sind Meldepflichten zu prüfen.

Nano Concepts richtet Absender-Authentifizierung und Filter für Ihre Domain ein, aktiviert Zwei-Faktor-Anmeldung, schult Teams praxisnah anhand realistischer Beispiele und unterstützt bei der Reaktion auf Sicherheitsvorfälle, von der Eindämmung bis zur Nachbereitung. Ziel ist, dass verdächtige Nachrichten schnell gemeldet und nicht still gelöscht werden.